최고정보보호책임자(CISO) 임원급 지정 의무화 내용을 담은 정보통신망법 개정안이 하반기 시행된다. [사진: 셔터스톡]
[디지털투데이 손슬기 기자] 정보보호최고책임자(CISO)를 반드시 임원급으로 지정하도록 한 '정보통신망 이용촉진 및 정보보호 등에 관한 법률(정보통신망법)' 개정안이 지난 24일 국무회의를 통과했다. 의무 적용 기준이 시행령에 위임됐다.
27일 관계기관에 따르면 개정안은 이르면 다음주 공포될 전망이다. 국무회의를 통과한 법률안은 대통령 서명을 거쳐 관보에 게재되면 공포 효력이 발생한다. 시행일은 공포 후 6개월이 경과한 날부터로, 올해 9월 말~10월 초가 될 것으로 보인다. 정보보호 수준 평가·공개 조항은 현장 준비를 고려해 공포 후 1년이 경과한 날부터 별도 시행된다.
이번 개정안은 여야 의원이 발의한 24개 법안을 통합·조정한 위원회 대안이다. SK텔레콤, KT, LG유플러스 등 주요 이동통신사와 금융회사를 대상으로 잇따른 침해사고가 발생한 것이 직접적 계기가 됐다.
핵심은 CISO 임원급 지정 의무화다. CISO 업무에는 정보보호 인력 관리와 예산 편성, 이사회에 대한 정보보호 현황 보고가 추가됐다. 일정 규모 이상 기업은 CISO를 위원장으로 하는 정보보호위원회도 설치·운영해야 한다. 정보보호위원회 설치 대상 기준은 시행령으로 정해진다.
침해사고 제재도 강화됐다. 고의 또는 중과실로 5년 이내 침해사고가 2회 이상 발생하면 연간 매출액 3% 이하 과징금을 부과할 수 있다. 조사 과정에서 자료 제출 거부·조사 방해·시정명령 불이행 시 1일 평균매출액의 0.03% 범위에서 이행강제금도 부과된다. 침해사고 신고 기한은 인지 후 24시간 이내로 명확해졌고, 발생이 의심되는 정황만 있어도 정부 조사가 가능해졌다. 침해사고 발생 시 이용자에게 지체 없이 통지할 의무도 신설됐다. 과기정통부에는 침해사고조사심의위원회가 신설되나 상설 기구 전환 전까지 2030년 12월 3일까지 한시 운영된다. 정보보호 수준 평가·공개 조항은 공포 후 1년이 경과한 날부터 별도 시행된다.
법은 통과됐지만 준비 상황은 미흡하다. 한국인터넷진흥원(KISA)이 분석한 '2025 정보보호 공시 현황 분석 보고서'에 따르면 공시 참여 기업 757개 중 CISO를 임원급으로 둔 곳은 70.9%(537개)에 그쳤다. 나머지 220개(29.1%)는 비임원이거나 미지정 상태다.
이번 개정 의무 대상 핵심인 매출액 3000억원 이상 상장사 513개만 보면 임원급 비율은 67.4%로 더 낮다. 약 167개 기업이 시행 전까지 CISO 직급을 올려야 한다. 정보보호 전담인력 5명 미만 기업(512개)의 임원급 비율은 67.2%, 정보보호 투자액 1억원 미만 기업(137개)은 64.2%로 규모가 작을수록 준비 수준이 낮았다. 업종별로는 운수·창고업(40.9%), 건설업(60.0%), 도매·소매업(64.9%) 순으로 임원급 비율이 낮았다. 정보통신업도 75.4%에 머물렀다.
핵심 쟁점은 중기업이다. 중기업 기준은 '중소기업기본법' 제2조제2항을 따르지만, 해당 중기업이 어떤 방식으로 CISO 지정 의무를 이행해야 하는지는 시행령에 위임됐다. 시행령 입법예고는 아직 없다.
한 중견 IT업체 관계자는 "보안 전문 회사가 아니라 사업 부문과 기술별로 나눠 임원을 꾸린 상태"라며 "CISO 의무화에 따른 인력·조직 부담이 있을 것이고, 임원급으로 선임 가능한 정보보안 전문 인력이 국내에 한정적인 점도 애로사항"이라고 말했다.
다른 중견 AI기업 관계자는 "6개월은 전문 CISO를 확보하고 보안 체계를 설계하기에 촉박하다"며 "CTO 겸임을 검토하는 기업이 많을 텐데, 겸직 허용 범위와 명확한 가이드라인이 없으면 형식적 선임에 그칠 수 있다"고 우려했다.
CISO 체계가 미흡한 기업은 과징금 부담도 커진다. 법조계는 반복 침해사고 과징금 요건인 '고의 또는 중과실' 판단 시 CISO 임원 여부, 이사회 보고 체계, 보안 투자 실적이 종합적으로 고려될 것으로 본다. 보안 예산·인력 투자 실적은 과징금 감경 사유로 명문화돼 있어, CISO 임원 체계를 갖추지 못한 기업은 사고 발생 시 감경 여지가 줄어든다.
이번 개정으로 끝이 아니라는 점도 잠재적 부담이다. 국회에는 침해사고 미신고 제재를 추가로 강화하는 법안이 계류 중이다. 김용만 더불어민주당 의원안은 침해사고 신고 시 수사기관 자동 고지를, 김소희 국민의힘 의원안은 신고 지연 일수에 비례한 과태료 가산을 담고 있다.
과기정통부 관계자는 "정보보호위원회 신설 등과 관련해 역할과 역량 강화 방안 등 가능한 지원을 고민해 나가겠다"고 말했다. 배경훈 부총리 겸 과기정통부 장관은 "이번 정보통신망법 개정이 사이버 침해사고 예방·대응 체계를 한 단계 향상시켜 국민 불안을 해소하고 기업이 철저한 보안 아래 지속 성장할 수 있는 기반이 될 것"이라고 밝혔다.
댓글
0